PECB ISO-IEC-27001-Lead-Implementer Deutsch Value Pack (Frequently Bought Together)

Szenario 10: CircuitLinking ist ein auf Wasseraufbereitungslösungen spezialisiertes Unternehmen, das effiziente Filter- und Aufbereitungssysteme für private und gewerbliche Anwendungen entwickelt und herstellt. In den letzten zwei Jahren hat das Unternehmen aktiv ein integriertes Managementsystem (IMS) implementiert, das sowohl ISO/IEC 27001 für Informationssicherheit als auch ISO 9001 für Qualitätsmanagement erfüllt. Kürzlich hat das Unternehmen einen wichtigen Schritt nach vorne gemacht und ein kombiniertes Audit beantragt, um die Zertifizierung sowohl nach ISO/IEC 27001 als auch nach ISO 9001 zu erreichen.
In Vorbereitung auf das Zertifizierungsaudit stellte CircuitLinking ein klares Verständnis der ISO/IEC 27001 im Unternehmen sicher und identifizierte wichtige Fachexperten zur Unterstützung der Auditoren. Darüber hinaus stellte CircuitLinking ausreichend Ressourcen bereit und führte eine Selbstbewertung durch, um sicherzustellen, dass Prozesse klar definiert, Rollen und Verantwortlichkeiten getrennt und dokumentierte Informationen aufbewahrt wurden. Um Verzögerungen zu vermeiden, sammelte das Unternehmen im Voraus alle erforderlichen Unterlagen, um die Wirksamkeit der Verfahren nachzuweisen.
Nach dem erfolgreichen Abschluss des Audits der Stufe 1, bei dem der Aufbau des Managementsystems überprüft wurde, wurde das Audit der Stufe 2 durchgeführt, um die Umsetzung und Wirksamkeit der Informationssicherheits- und Qualitätsmanagementsysteme zu prüfen.
Eine der Auditorinnen, Megan, war zuvor für das Unternehmen tätig. Um die Integrität des Zertifizierungsprozesses zu wahren, informierte das Unternehmen die Zertifizierungsstelle über den potenziellen Interessenkonflikt und beantragte einen Wechsel des Auditors. Die Zertifizierungsstelle wählte daraufhin einen Ersatz aus und stellte so die Unparteilichkeit sicher. Zusätzlich forderte das Unternehmen eine Hintergrundüberprüfung der Mitglieder des Auditteams an; die Zertifizierungsstelle lehnte diesen Antrag jedoch ab. Die notwendigen Anpassungen des Auditplans wurden vorgenommen und eine transparente Kommunikation mit den Beteiligten aufrechterhalten.
Der Auditprozess wurde unter der Leitung des neuen Auditors nahtlos fortgesetzt. Nach Abschluss des Audits wertete die Zertifizierungsstelle die Ergebnisse und Schlussfolgerungen des Audits sowie die öffentlichen Informationen von CircuitLinking aus und verlieh CircuitLinking die kombinierte Zertifizierung.
Ein Rezertifizierungsaudit für CircuitLinking wurde durchgeführt, um zu überprüfen, ob das Managementsystem des Unternehmens weiterhin die erforderlichen Standards erfüllt und im definierten Zertifizierungsumfang wirksam bleibt. CircuitLinking hatte erhebliche Änderungen an seinem Managementsystem vorgenommen, darunter eine umfassende Überarbeitung der Informationssicherheitsprozesse, die Einführung neuer Technologieplattformen und Anpassungen an die jüngsten Änderungen der Branchengesetzgebung. Aufgrund dieser umfangreichen Aktualisierungen war für das Rezertifizierungsaudit eine Bewertung der Stufe 1 erforderlich, um die Auswirkungen dieser Änderungen zu bewerten.
Gemäß Szenario 10 hat die Zertifizierungsstelle bei der Zertifizierungsentscheidung die Ergebnisse und Schlussfolgerungen des Audits sowie die öffentlichen Informationen von CircuitLinking ausgewertet. Ist dies akzeptabel?

• A. Nein, die Zertifizierungsentscheidung muss ausschließlich auf den Ergebnissen des Audits basieren und es können keine externen Informationen berücksichtigt werden.
• B. Ja, die Zertifizierungsstelle muss die Zertifizierungsentscheidung auf der Grundlage anderer relevanter Informationen treffen, beispielsweise öffentlicher Informationen
• C. Nein, nur die Eingaben des Top-Managements sollten berücksichtigt werden
• D. Nein, die Zertifizierungsstelle sollte bei der Entscheidung über die Zertifizierung auch die Meinungen des Auditors berücksichtigen

Nachdem sichergestellt war, dass die Angreifer keinen Zugriff auf ihr System hatten, beschlossen die Sicherheitsadministratoren, mit der forensischen Analyse fortzufahren. Sie kamen zu dem Schluss, dass ihr Zugriffssicherheitssystem nicht für die Erkennung von Bedrohungen ausgelegt war, einschließlich der Erkennung schädlicher Dateien, die mögliche zukünftige Angriffe auslösen könnten.
Auf Grundlage dieser Erkenntnisse beschloss Texas H$H Inc., sein Zugangssicherheitssystem zu ändern, um künftige Vorfälle zu vermeiden, und eine Richtlinie zum Vorfallmanagement in seine Informationssicherheitsrichtlinie zu integrieren, die den Mitarbeitern als Leitfaden für die Reaktion auf ähnliche Vorfälle dienen könnte.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Texas M&H Inc. hat beschlossen, die Incident-Management-Richtlinie in die bestehende Informationssicherheitsrichtlinie zu integrieren. Wie definieren Sie diese Situation?

• A. Akzeptabel, aber nur, wenn die Richtlinie zum Vorfallmanagement Umwelt- oder Gesundheits- und Sicherheitsaspekte berücksichtigt.
• B. Nicht akzeptabel. Die Richtlinie zum Vorfallmanagement sollte als separates Dokument verfasst werden, um klar und effektiv zu sein.
• C. Akzeptabel, die Richtlinie zum Vorfallmanagement kann in die allgemeine Informationssicherheitsrichtlinie der Organisation integriert werden

Szenario 3: Socket Inc. ist ein Telekommunikationsunternehmen, das hauptsächlich drahtlose Produkte und Dienste anbietet. Es verwendet MongoDB, eine Dokumentmodelldatenbank, die hohe Verfügbarkeit, Skalierbarkeit und Flexibilität bietet.
Im vergangenen Monat meldete Socket Inc. einen Vorfall im Bereich der Informationssicherheit. Eine Gruppe von Hackern hatte die MongoDB-Datenbank kompromittiert, weil die Datenbankadministratoren die Standardeinstellungen nicht geändert hatten. Dadurch war die Datenbank ohne Passwort und öffentlich zugänglich.
Glücklicherweise führte Socket Inc. regelmäßige Backups seiner MongoDB-Datenbank durch, sodass während des Vorfalls keine Informationen verloren gingen. Ein Syslog-Server ermöglichte es Socket Inc. zudem, alle Protokolle auf einem Server zu zentralisieren. Durch die Überprüfung der Ereignisprotokolle, die Benutzerfehler und Ausnahmen aufzeichnen, stellte das Unternehmen fest, dass keine persistente Hintertür vorhanden war und der Angriff nicht von einem internen Mitarbeiter initiiert wurde.
Um ähnliche Vorfälle in Zukunft zu verhindern, entschied sich Socket Inc. für ein Zugangskontrollsystem, das nur autorisiertem Personal Zugriff gewährt. Das Unternehmen implementierte außerdem eine Kontrolle, um Regeln für den effektiven Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, zu definieren und umzusetzen, um die Datenbank vor unbefugtem Zugriff zu schützen. Die Implementierung basierte auf allen relevanten Vereinbarungen, Gesetzen und Vorschriften sowie dem Informationsklassifizierungsschema. Um die Sicherheit zu verbessern und den Verwaltungsaufwand zu reduzieren, wurde eine Netzwerktrennung mittels VPNs vorgeschlagen.
Schließlich hat Socket Inc. ein neues System zur Pflege, Erfassung und Analyse von Informationen im Zusammenhang mit Bedrohungen der Informationssicherheit und zur Integration der Informationssicherheit in das Projektmanagement implementiert.
Kann Socket Inc. durch die Überprüfung von Ereignisprotokollen, in denen Benutzerfehler und Ausnahmen aufgezeichnet werden, herausfinden, dass keine dauerhafte Hintertür platziert wurde und dass der Angriff von einem Mitarbeiter innerhalb des Unternehmens initiiert wurde? Siehe Szenario 3.

• A. Nein, Socket Inc. hätte alle Protokolle auf dem Syslog-Server überprüfen sollen
• B. Ja. Socket Inc. kann durch die Überprüfung der Benutzerfehler- und Ausnahmeprotokolle feststellen, dass keine dauerhafte Hintertür platziert wurde.
• C. Nein, Socket Inc. hätte auch Ereignisprotokolle überprüfen sollen, die Benutzeraktivitäten aufzeichnen

Der Zweck der Kontrolle 7.2 Physischer Zugang von ISO/IEC 27001 besteht darin, sicherzustellen, dass nur autorisierter Zugriff auf die Informationen der Organisation und andere zugehörige Vermögenswerte erfolgt. Welche der folgenden Maßnahmen erfüllt diesen Zweck NICHT?

• A. Überprüfung von Geräten mit Speichermedien
• B. Implementieren von Zugriffspunkten
• C. Verwendung geeigneter Eingabekontrollen

Welcher der folgenden Prozesse kann mit einem erhöhten Risiko verbunden sein, um eine Chance zu nutzen?

• A. Risikobehandlung
• B. Risikoidentifizierung
• C. Risikoanalyse